Anthropic ha pubblicato il 14 agosto 2026 una nota tecnica che spiega, per la prima volta in dettaglio, come funziona il watermark, ovvero la filigrana digitale, che i modelli Claude inseriranno nei testi generati. L'azienda aveva già annunciato la misura a fine luglio per adeguarsi all'articolo 50 dell'AI Act, ma il funzionamento del meccanismo non era stato reso pubblico. Questo colma quella lacuna, almeno sul piano concettuale.

Il principio di base riguarda le scelte a basso rischio che un modello linguistico compie a ogni parola. Quando Claude genera testo, sceglie il termine successivo tra più candidati plausibili: nella frase "il tempo oggi era freddo e...", parole come "nuvoloso" o "grigio" sono ugualmente sensate, e normalmente questa scelta viene risolta da un numero casuale. Il watermark sostituisce quella casualità con una funzione che dipende da una chiave crittografica e dalle parole precedenti. Il risultato appare comunque casuale a chi legge, ma chi possiede la chiave può verificare se la sequenza di parole è coerente con le scelte che Claude avrebbe fatto usandola, e da lì stimare una probabilità di impiego del modello.

Anthropic paragona il meccanismo a una partita a Monopoli in cui i tiri di dado vengano sostituiti dalle cifre del pi-greco: il gioco resta casuale per chi vi partecipa, ma chi conosce la sequenza di pi-greco può, a posteriori, riconoscere che è stata usata quella fonte di casualità invece dei dadi. La tecnica adottata è una variante di SynthID-Text, il sistema descritto da Google DeepMind in un articolo pubblicato su Nature nel 2024 e basato su un'idea proposta dall'informatico Scott Aaronson nel 2022.

Anthropic sostiene che la filigrana non introduce alcun costo percepibile: non aggiunge token, non modifica il testo in modo visibile e, secondo test interni dell'azienda e i dati diffusi da Google DeepMind sul traffico di Gemini, non produce differenze statisticamente significative nel gradimento degli utenti rispetto a un testo non marcato. Si tratta di affermazioni dell'azienda stessa, non verificabili in modo indipendente dall'esterno, almeno per ora.

La filigrana sarà sempre rilevabile?

L'annuncio di Anthropic ha riacceso, tra gli addetti ai lavori, l'attenzione sul tema dell'efficacia dei futuri sistemi di rilevamento. Anthropic stessa riconosce che il segnale è debole su testi brevi, dove le scelte lessicali disponibili sono poche. E quasi assente nei passaggi fattuali che ammettono una sola risposta corretta: l'esempio fatto dall'azienda riguarda la frase incompiuta "l'opera più famosa di Isaac Newton si intitola Principia...", dove la parola successiva "Mathematica" non ha alternative plausibili, e dunque non c'è spazio per la filigrana. Il codice sorgente porta in genere pochissima filigrana per lo stesso motivo, perché gran parte delle sue istruzioni richiede un'unica soluzione esatta.

Il caso della correzione di bozze è quello più rilevante. Se Claude si limita a correggere ortografia e punteggiatura di un testo scritto da una persona, la filigrana può attaccarsi soltanto alle poche parole effettivamente modificate dal modello, che spesso sono troppo poche per risultare rilevabili. Al contrario, le traduzioni risulteranno totalmente marcate, perché in quel caso ogni parola del testo finale è una scelta di Claude. Anthropic precisa, inoltre, che una riscrittura molto pesante, in cui ogni parola viene sostituita, può cancellare il segnale del tutto: in quel caso, osserva l'azienda, diventa discutibile se il testo possa ancora dirsi generato dall'IA.

I primi test in laboratorio

La stessa ricerca scientifica alla base di SynthID-Text conferma parte di questi limiti. I ricercatori di Google DeepMind guidati da Sumanth Dathathri hanno testato il sistema su quasi 20 milioni di risposte reali di Gemini in uno studio pubblicato su Nature nel 2024, senza riscontrare differenze significative nel gradimento degli utenti tra testi con e senza marcatura. Gli autori riconoscono però che il segnale si indebolisce con la parafrasi, la traduzione e le modifiche pesanti, e che si assottiglia nei testi molto brevi o fortemente fattuali.

Diversi gruppi di ricerca indipendenti hanno messo alla prova questi limiti sperimentalmente. Il laboratorio SRI (Secure, Reliable, and Intelligent Systems) del Politecnico federale di Zurigo ha verificato che un utente può cancellare la filigrana di SynthID-Text con un comune strumento di parafrasi disponibile al pubblico, con un tasso di successo superiore al 90%. Il tasso sale fino a quasi il 100% se l'aggressore prova anche a ricostruire la chiave del sistema osservando un numero sufficiente di testi generati. Un lavoro precedente dell'Università del Maryland, pubblicato nel 2023 e alla base del filone di ricerca da cui deriva SynthID-Text, aveva già mostrato che cancellare una filigrana da un testo lungo richiede in genere di modificare almeno il 25% delle parole generate, un intervento che quasi sempre peggiora in modo percepibile la qualità del testo.

Questi risultati non riguardano necessariamente l'implementazione specifica usata da Claude, di cui Anthropic non ha pubblicato i parametri tecnici, ma indicano un problema strutturale della tecnica scelta: più uno strumento di parafrasi a disposizione dell'utente è potente, più diventa facile cancellare la filigrana senza sacrificare la qualità del testo.

Resta un punto aperto: uno strumento pubblico per rilevare la filigrana non esiste ancora. Anthropic dichiara di stare lavorando a una detection API, un'interfaccia software che rileva automaticamente la presenza di elementi specifici, e promette aggiornamenti, ma senza indicare una data. Fino a quel momento, l'unica verifica possibile passa dai canali interni dell'azienda. Anthropic distingue infine la filigrana testuale, che è un segnale statistico incorporato nella scelta delle parole, dai software di rilevamento dell'IA come Pangram, che analizzano invece tratti stilistici ricorrenti nella scrittura dei modelli, come costruzioni tipo "non è X, è Y" o un uso più frequente di avverbi come "silenziosamente". Su un punto Anthropic è netta: la filigrana non stabilisce la proprietà di un testo né la responsabilità legale su di esso, e vale solo come indizio della possibile partecipazione di Claude alla sua stesura, non come prova che l'abbia scritto per intero.